ИИ меняет подход к созданию программного обеспечения. Агенты написания кода создают больше кода, чем команды могут проверить, а текущие модели вводят в несколько раз больше уязвимостей на строку кода по сравнению с человеками-разработчиками. Многие из этих изъянов связаны с бизнес-логикой, контролем доступа и аутентификацией — областями, где сканеры на основе шаблонов имеют ограниченную видимость.
Большинство команд безопасности уже отставали до того, как всё это началось. Они завалены результатами проверок, многие из которых являются ложными срабатываниями, и при этом управляют бэклогом скрытых рисков. Злоумышленники используют ИИ для выявления слабых мест, объединения проблем меньшей степени тяжести в более серьезные эксплойты и ускорения атак. По состоянию на октябрь 2026 года данные Snyk показывают примерно восемь новых уязвимостей на каждую устраненную. Разработка на базе ИИ усиливает этот дисбаланс. А углубленные проверки безопасности, выявляющие изъяны бизнес-логики, требуют столько времени и контекста, что большинство команд проводят их один раз для горстки критически важных приложений.
Атаки на цепочку поставок программного обеспечения усугубляют проблему. На вредоносные пакеты теперь приходится большинство уязвимостей нулевого дня в открытом ПО: в 2026 году произошло более 20 громких атак, а рост превышает 600% в год. Вредоносный пакет может похитить учетные данные во время установки — еще до запуска пулл-реквеста или сканирования в CI, — а агенты кодирования могут внедрять эти пакеты без оценки их безопасности.
Безопасность должна идти в ногу с современными методами создания ПО и устранять риски до того, как код попадет на проверку.
Сканирования пулл-реквеста больше недостаточно само по себе
Сканирование пулл-реквестов остается важным элементом контроля. Однако само по себе оно не может устранить все риски, особенно когда код генерируется непрерывно, а вредоносные зависимости могут нанести вред до начала сканирования.
Безопасность приложений должна работать в трех направлениях: проверки внутри рабочего процесса написания кода, быстрые детерминированные сканирования при каждом изменении в CI и более глубокий анализ всего приложения через регулярные интервалы. Этот анализ также должен учитывать бизнес-логику и контекст приложения наряду с известными шаблонами уязвимостей.
Обнаружение большего числа проблем полезно только тогда, когда команды могут принять меры. Предотвращение и исправление также должны масштабироваться с помощью четких политик, определяющих, что блокируется, что исправляется и что требует проверки человеком. Предлагаемые исправления нуждаются в независимой валидации до того, как команды примут их.
Ответ — не очередной сканер. Это программа, управляемая агентами и контролируемая вашей командой.
Представляем Evo Agentic AppSec
Evo Agentic AppSec — это команда агентов безопасности, выполняющая работу вашей программы безопасности приложений, чтобы ваша команда могла сосредоточиться на определении политик и принятии решений. Она объединяет эти возможности, помогая командам непрерывно управлять безопасностью приложений — от оценки угроз и предотвращения до обнаружения, приоритизации, исправления и проверки.
Она помогает командам оценивать угрозы и средства контроля приложения, выявлять уязвимости, расставлять приоритеты для исправлений и проверять результаты. Агенты работают с новым кодом в процессе разработки, помогая предотвращать новые проблемы и блокировать установку вредоносных пакетов, а также с уже выпущенными приложениями, благодаря чему бэклог действительно сокращается.
Аналитика безопасности Snyk обеспечивает контекст для этой работы. Она сочетает в себе десять лет детерминированных оценок с такими сигналами, как достижимость, возможность эксплуатации, подверженность сбоям и результаты исправления. Этот контекст помогает командам отделять важные проблемы от шума и превращает предлагаемое изменение в исправление, которое команда может использовать.
В VulnBump, новейшем бенчмарке Snyk для проверки обновлений реальных зависимостей, Evo Remediation Agent выдавал исправления, готовые к слиянию, в 90% случаев по сравнению с 59.6% для той же модели без контекста Snyk. Исправление, готовое к слиянию, устраняет уязвимость и позволяет проекту успешно собираться.
Независимая верификация лежит в основе этого подхода. Детерминированные движки проверяют предлагаемые исправления, а не полагаются исключительно на модель, которая их сгенерировала. Команды определяют политики и критерии приемки, регулирующие этот процесс.
Agentic AppSec — это следующее решение, которое появится в Evo, части платформы Snyk, созданной для помощи командам в защите как разрабатываемых ими приложений, так и развертываемых ими агентов ИИ.
Как это работает
Evo Agentic AppSec объединяет команду агентов с конкретными ролями:
- Evo Agentic Security Review оценивает угрозы и средства контроля приложения, выдавая подтвержденные фактами результаты и рекомендации по исправлению. Теперь такой уровень глубины проверки применим к каждому приложению без расширения вашей команды.
Evo Agentic Security Review оценивает угрозы и средства контроля приложения, выдавая подтвержденные фактами результаты и рекомендации по исправлению. Теперь такой уровень глубины проверки применим к каждому приложению без расширения вашей команды.
- Evo Code Scanning Agent выявляет изъяны бизнес-логики и авторизации, которые пропускают традиционные сканеры.
Evo Code Scanning Agent выявляет изъяны бизнес-логики и авторизации, которые пропускают традиционные сканеры.
- Snyk Secrets обнаруживает раскрытые секреты как в традиционной разработке, так и в разработке с поддержкой ИИ.
Snyk Secrets обнаруживает раскрытые секреты как в традиционной разработке, так и в разработке с поддержкой ИИ.
- Evo Remediation Agent исправляет проблемы в новом коде и существующем бэклоге, начиная с проблем сторонних зависимостей при запуске.
Evo Remediation Agent исправляет проблемы в новом коде и существующем бэклоге, начиная с проблем сторонних зависимостей при запуске.
- Evo Dependency Firewall блокирует вредоносные пакеты и пакеты, нарушающие политики, во время установки — еще до того, как в дело вступает сканирование кода. Вам не нужно указывать агентам соблюдать осторожность при установке: они по умолчанию используют доверенные пакеты.
Evo Dependency Firewall блокирует вредоносные пакеты и пакеты, нарушающие политики, во время установки — еще до того, как в дело вступает сканирование кода. Вам не нужно указывать агентам соблюдать осторожность при установке: они по умолчанию используют доверенные пакеты.
Evo Continuous Offensive Security обеспечивает тестирование на проникновение для дополнительной оценки защиты приложения и эффективности исправления.
В совокупности эти возможности помогают командам расширить охват безопасности и выполнять больше задач по устранению уязвимостей, сохраняя при этом участие человека в процессе и контроль над политиками, приоритетами и утверждениями.
Evo Agentic AppSec базируется на Snyk Code и Snyk Open Source. Механизмы, которые команды уже используют для сканирования кода и зависимостей, обеспечивают базовый анализ и независимую проверку результатов и предлагаемых исправлений.
Предоставление командам больших возможностей
По мере того как все больше задач разработки и безопасности автоматизируется, командам необходим четкий надзор и подотчетность.
Разработчики могут уделять больше времени проверке предлагаемых изменений. Команды AppSec могут сосредоточиться на политике безопасности, исключениях и рисках, требующих их экспертной оценки. Директора по информационной безопасности (CISO) получают прозрачность непрерывно работающей программы с тестированием на проникновение и журналом аудита автоматизированных решений.
Для организаций без выделенной функции AppSec эти возможности могут помочь внедрить последовательные практики безопасности и сократить объем ручной работы, необходимой для их поддержания.
Цель практическая: предотвращать новые проблемы, быстрее устранять существующие уязвимости и предоставлять командам доказательства того, что их исправления работают.
Убедитесь в этом сами
Сегодня:
- Традиционные сканеры пропускают ваши самые критические проблемы
Традиционные сканеры пропускают ваши самые критические проблемы
- Ваш бэклог растет быстрее, чем его успевают разбирать
Ваш бэклог растет быстрее, чем его успевают разбирать
- ИИ-помощники для написания кода продолжают коммитить ваши секреты
ИИ-помощники для написания кода продолжают коммитить ваши секреты
- Вредоносные пакеты, которые наносят вред при установке
Вредоносные пакеты, которые наносят вред при установке
Evo Agentic AppSec объединяет предотвращение, обнаружение, исправление и верификацию, чтобы помочь командам справиться с этими задачами.
Хотите предоставить команду агентов безопасности каждому инженеру? Обратитесь к своему менеджеру по работе с клиентами в Snyk для получения раннего доступа к агентам. Или следите за новыми анонсами Agentic AppSec!
ЗАПИСАТЬСЯ НА ЖИВУЮ ДЕМОНСТРАЦИЮ
Безопасное внедрение ИИ в масштабе
Evo помогает организациям безопасно внедрять и масштабировать ИИ, обеспечивая прозрачность, управление и безопасность при разработке на основе ИИ и в ИИ-приложениях.
